Hvor længe må I gemme personoplysninger? GDPR har ingen fast frist på fx 5 eller 10 år, og svaret afhænger af formålet og af frister i andre love. En slettepolitik er det dokument, der viser, hvordan virksomheden overholder kravet om, at personoplysninger ikke må gemmes længere end nødvendigt. Forordningen kræver ikke et dokument med det navn. Art. 5, stk. 1, litra e, kræver opbevaringsbegrænsning, art. 5, stk. 2, lægger bevisbyrden hos jer, og art. 30, stk. 1, litra f, beder om de forventede frister i fortegnelsen, hvis det er muligt. Slettepolitikken er det sted, hvor det samles. Hvem der træffer beslutningen, står i sletning som ledelsesbeslutning. Her handler det om dokumentet: hvad der skal stå i det, og hvordan det kommer til at kunne følges.
Dokumentets fire kolonner
En brugbar slettepolitik kan være et skema. Fire kolonner bærer det meste:
- Kategori. Hvilke oplysninger, om hvem. Fx ansøgninger fra personer, der ikke blev ansat.
- Frist. Hvor længe, og regnet fra hvad.
- Begrundelse. Hvorfor netop den frist, med henvisning til en lov eller et konkret behov.
- Ansvar og metode. Hvem der udfører sletningen, og hvordan det sker i det enkelte system.
Tag udgangspunkt i fortegnelsen. Datatilsynets vejledning om fortegnelse siger, at slettefrister skal angives for de forskellige kategorier af oplysninger og ikke for hele behandlingen. En linje for “personale” er altså for groft. Løn, ansøgninger, sygefravær og mail har hver sin begrundelse. Vejledningen peger også på, at I løbende skal vurdere, om formålet er opfyldt. Skemaet er det redskab, der gør den vurdering overkommelig.
Art. 13, stk. 2, litra a, kræver desuden, at personen får at vide, hvor længe oplysningerne gemmes, eller hvilke kriterier der bestemmer det. Slettepolitikken og teksterne til de registrerede skal derfor give samme svar.
Hvor fristerne kommer fra
Fristerne er sjældent fra GDPR. De kommer fra andre love eller fra jeres eget behov, og de skal slås op for hver kategori. Der er tre typer.
Fast frist i anden lovgivning. Bogføringsmateriale skal gemmes i 5 år efter § 12 i bogføringsloven (lov nr. 700/2022). Optegnelser over arbejdstid har også 5 år, efter § 4 b, stk. 3, i LBK nr. 982/2024. Her er begrundelsen enkel, og perioden er en pligt.
Frist afledt af en risiko. Forældelsesloven (LBK nr. 1238/2015, § 3, stk. 1) har en frist på 3 år, som er en rettesnor for, hvor længe papirerne om et muligt krav kan være nyttige. Det er en vurdering, og fristen er hverken en pligt til at gemme eller en ret til at beholde alt. Revisor eller advokat kan svare, hvor der er tvivl.
Frist efter behov. Mange oplysninger har ingen frist i lov. Her skal I selv fastsætte den og begrunde den. Datatilsynets vejledning om ansættelsesforhold siger om arbejdsgiverens opbevaring, at oplysninger må gemmes, så længe der er et administrativt behov. Det er et udgangspunkt, som I skal gøre konkret. “Så længe der er behov” er ikke en frist, for ingen kan følge den.
Listen er eksempler. Branchekrav, kontrakter og særlige regler kan give andre frister. For TV-overvågning gælder fx en særskilt regel, se TV-overvågning i virksomheden.
Skriv fristen, så den kan måles
En frist kan kun følges, hvis det er tydeligt, hvornår uret starter. Sammenlign to formuleringer i et tænkt eksempel:
- “Ansøgninger slettes efter en passende periode.”
- “Ansøgninger fra personer, der ikke blev ansat, slettes [antal] måneder efter, at stillingen er besat.”
Den anden kan kontrolleres af hvem som helst. Antallet af måneder skal bygge på jeres begrundelse. Det vigtige er de tre ting: hvad, hvor længe og fra hvilken hændelse.
Det betyder også, at hændelsen skal kunne ses i systemet. Hvis systemet ikke registrerer, hvornår en sag er afsluttet eller en medarbejder fratrådt, kan fristen ikke automatiseres.
Fra dokument til system
Her dør mange slettepolitikker. Politikken siger 5 år, men systemet sletter aldrig. Derfor bør skemaet have en sidste kolonne, der siger, hvordan fristen virker.
- Automatisk, med en regel i systemet.
- Manuelt, med en navngiven person og en dato i kalenderen.
- Ikke muligt endnu, med en plan og en dato.
Den tredje mulighed er ærlig og nyttig. Mange ældre systemer kan ikke slette enkelte poster, og det skal stå i dokumentet frem for at blive skjult. Mellemløsninger står i systemet kan ikke slette.
Tænk også kopierne med. En frist i HR-systemet hjælper ikke, hvis ansøgningen også ligger i en fælles postkasse og et regneark. Det er et godt argument for at lave kortlægningen først. Backup kræver sin egen stillingtagen, som er gennemgået i backup og sletning. Papir i et register, fx personalemapper og arkivkasser, er også omfattet (art. 2, stk. 1). Forordningen har intet krav om makulering. Art. 5, stk. 1, litra f, gælder dog også, når papiret skal væk, så det skal destrueres på en måde, der holder oplysningerne fortrolige.
Kontrollen
En slettepolitik er først dokumentation, når I kan vise, at den følges. Læg en kontrol ind en gang om året: Træk en stikprøve i et par systemer, og se, om der ligger oplysninger, der er ældre end fristen. Skriv resultatet ned. Det er her, en DPO har sin rolle. DPO’en rådgiver om dokumentet og kontrollerer, om det virker, mens virksomheden udfører sletningen. Sletning var emnet for EDPB’s fælles kontrol i 2025 med 32 tilsyn, og rapporten blev vedtaget 10. februar 2026.
Politikken skal desuden kunne håndtere undtagelser. Hvis en sag verserer, kan oplysninger have brug for at blive gemt ud over fristen, og det skal være klart, hvem der beslutter det, og hvordan det registreres.
Det skal I lade være med
- At skrive “så længe det er nødvendigt” · det er ingen frist.
- At kopiere en anden virksomheds frister · begrundelsen skal være jeres.
- At bruge lovens længste frist på alle oplysninger · hver kategori skal vurderes for sig.
- At skjule systemer, der ikke kan slette · de skal stå i dokumentet med en plan.
Det skal I kræve af den eksterne
- ☐ En gennemgang af kategorier og begrundelser op mod jeres fortegnelse.
- ☐ Kontrol af, at fristerne faktisk virker i systemerne.
- ☐ Stikprøver i de vigtigste systemer med et kort notat om resultatet.
- ☐ Rådgivning om, hvad der kræver en beslutning fra ledelsen.
Kilder
- Forordning (EU) 2016/679, dansk tekst: art. 5, stk. 1, litra e, og stk. 2, art. 13, stk. 2, litra a, og art. 30, stk. 1, litra f.
- Datatilsynet: Vejledning om fortegnelse, august 2020: afsnit 2.1, litra f.
- Datatilsynet: Vejledning om databeskyttelse i ansættelsesforhold.
- Bogføringsloven, lov nr. 700 af 24. maj 2022: § 12.
- LBK nr. 982/2024 om arbejdstid: § 4 b, stk. 3.
- Forældelsesloven, LBK nr. 1238/2015: § 3, stk. 1.
- EDPB: rapport om retten til sletning, vedtaget 10. februar 2026.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Ret til sletning · Hvor ligger jeres persondata?
→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT
